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Abstract of DE 10053818 (A1) 

The computer controlled steering (1) for a motor 
vehicle has an electrically supplied steering motor 
assembly connected to a switching control (10a,b) 
supplied with output from a computer. The motor 
assembly has a redundant steering motor (8) with 
two separate circuits connected to the computer (4). 
Each circuit can have a power supply. 
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Die folgenden Angaben sind den vom Anmelder eingereichten Unterlagen entnommen 

Prufungsantrag gem. § 44 PatG ist gestellt 
@ Elektrisches Lenksystem 

@ Es wird ein elektrisches Lenksystem (1) fur ein Fahr- 
zeug angegeben mit einer elektrisch gespeisten Lenkmo- 
toranordnung, die mit einer Wechsel richteranordnung 
(10a, 10b) verbunden ist, deren Ausgangsspannung von 
einer Computeranordnung (4) beeinfluftt ist und mit einer 
Sensoranordnung (7a, 7b, 11a-13a, 11b-13b). 
Man mochte ein Lenksystem mit moglichst geringem 
Aufwand so ausgestalten, daft es wahrend des Anhaltens 
beim Fehlerfall voll lenkbar bleibt. 

Hierzu weist die Lenkmotoranordnung einen redundan- 
ten Lenkmotor (8) auf, der uber zwei getrennt voneinan- 
der elektrisch versorgte und gefuhrte Steuerkreise mit der 
Computeranordnung (4) verbunden ist, die ebenfalls red- 
undant ausgebildet ist. 
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Beschreibung 

[0001] Die Erfindung betrifft ein elektrisches Lenksystem 
fiir ein Fahrzeug mit einer elektrisch gespeisten Lenkmotor- 
anordnung, die mit einer WechseLrichteranordnung verbun- 5 
den ist, deren Ausgangsspannung von einer Computeran- 
ordnung bccinfluBt ist und mit cincr Scnsoranordnung. 
[0002] Ein derartiges Lenksystem ist aus 
DEI 96 25 350 Al bekannt. 

[0003] Derartige Lenksysteme werden vorzugsweise bei 10 
Gabelstaplern und anderen selbstfahrenden Arbeitsmaschi- 
nen eingesetzt, vor allem bei solchen, die in geschlossenen 
Raumen, wie Lagerhallen, tatig sind. Dabei besteht keine 
mechanische Verbindung mehr zwischen dem Lenkhandrad 
oder einer vergleichbaren Steuereinrichtung und dem ge- 15 
lenkten Rad oder den gelenkten Radern. Der Fahrer oder 
Bediener hat also bei Ausfall des Lenksystems im Grunde 
keine Moglichkeit mehr, in das Lenkverhalten des Fahr- 
zeugs einzugreifen. Es besteht daher im allgemeinen die 
Forderung, daB jeder Fehler sofort erkannt wird und das 20 
Fahrzeug beim Auftreten eines Fehler umgehend gestoppt 
wird. Allerdings konnen auch hierbei noch gefahrliche Si- 
tuationen auftreten, weil ein Fahrzeug mit einer groBeren 
Masse immer einen gewissen Bremsweg benotigt. Dieser 
Bremsweg wird umso langer, je schwerer das Fahrzeug be- 25 
laden ist. 

[0004] Der Erfindung liegt die Aufgabe zugrunde, ein 
Lenksystem mit moglichst geringem Aufwand so auszuge- 
stalten, da£ es wahrend des Anhaltens voll lenkbar bleibt. 
[0005] Diese Aufgabe wird bei einem Lenksystem der 30 
eingangs genannten Art dadurch gelost, daB die Lenkmotor- 
anordnung einen redundanten Lenkmotor aufweist, der iiber 
zwei getrennt voneinander elektrisch versorgte und gefiihrte 
Steuerkreise mit der Computeranordnung verbunden ist, die 
ebenfalls redundant ausgebildet ist. 35 
[0006] Mit dieser Ausgestaltung laBt sich mit einem ver- 
tretbaren Aufwand ein redundantes Lenksystem erzielen. 
Ein fehlertolerantes System lieBe sich zwar relativ einfach 
dadurch ausgestalten, daB man alle Elemente verdoppelt. 
Diese Losung ist aber relativ teuer. Die Erfindung besteht 40 
nun darin, daB man nicht alle Elemente verdoppelt, sondern 
Elemente, die einen groBen Anteil zu den Kosten beitragen, 
per se redundant ausgestaltet. Damit hat man fiir den groB- 
ten Teil des Lenksystems eine Zweikreis ausgestaltung, die 
auch noch dann funktioniert, wenn in einem der beiden 45 
Kreise ein Fehler auftritt. Die verbleibenden Elemente, die 
in beiden Kreisen gemeinsam verwendet werden, sind aber 
so fehlertolerant, daB sie auch noch dann funktionieren, 
wenn ein Fehler aufgetreten ist. Man schafft damit ein Lenk- 
system, das unter Kostengesichtspunkten optimiert ist und 50 
das trotzdem in der Lage ist, bis zum Anhalten des Fahr- 
zeugs die voile Lenkfahigkeit sicherzustellen. 
[0007] Hierbei ist bevorzugt, daB alle Steuerkreise eine 
gemeinsame SoUwertvorgabeeinrichtung aufweisen. Als 
Sollwertvorgabeeinrichtung kann beispielsweise das Lenk- 55 
handrad dienen. Man geht davon aus, daB ein Bruch der 
Lenkhandradsaule ein sehr unwahrscheinlicher Fehler ist. 
Eine Sicherung dagegen ist nicht eingebaut. Dafur wird al- 
lerdings die Bcdicnung drastisch vcrcinfacht im Gcgcnsatz 
zu Systemen, bei denen man dafiir sorgen muB, daB der Fah- 60 
rer gleichzeitig beide Steuerkreise mit unabhangigen Bedie- 
nungselementen betatigt. 

[0008] Vorzugsweise ist fiir jeden Steuerkreis eine eigene 
Stromversorgungseinrichtung mit einem eigenen Uberwa- 
chungssystem vorgesehen. Eine derartige Strornversor- 65 
gungseinrichtung kann beispielsweise durch eine Batteriea- 
nordnung gebildet sein. Dadurch, daB jede Stromversor- 
gungseinrichtung eigene Komponenten versorgt, namlich 
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die des eigenen Steuerkreises, ist sichergestellt, daB die 
Funktion des Lenksystems auch beim Versagen einer Strom- 
versorgungseinrichtung gesichert ist. Jede Stromversor- 
gungseinrichtung hat ihre eigene Uberwachung, beispiels- 
weise eine Spannungsmessung, die an die Computeranord- 
nung zuriickmeldet. Die Computeranordnung kann dann bei 
Ausfall cincr Stromversorgungseinrichtung den Anhaltcvor- 
gang einleiten. 

[0009] Vorzugsweise weist jeder Steuerkreis einen Wech- 
selrichter auf, der mit dem Lenkmotor verbunden ist. Jeder 
Wechselrichter arbeitet beispielsweise mit Spannungsmodu- 
lationen, typischerweise mit einer Pulsbreitenmodulation, 
und erhalt die entsprechenden Modulationssignale von der 
Computeranordnung. Die Wechselrichter werden von je- 
weils einer eigenen Stromversorgungseinrichtung, namlich 
der des zugehorigen Steuerkreises, mit Spannung versorgt. 
Der Ausfall eines Wechselrichters ist daher unschadlich fiir 
die Lenkfahigkeit des Fahrzeuges insgesamt. 
[0010] Vorzugsweise weist der Lenkmotor fiir jeden Steu- 
erkreis eine eigene Wicklungsanordnung auf. Dies kann bei- 
spielsweise so aussehen, daB ein Stator vorgesehen ist, der 
fur jeden Steuerkreis einen eigenen Satz Wicklungen hat, 
die auf einen gemeinsamen Rotor wirken. Man kann aber 
auch fiir jeden Satz Wicklungen einen eigenen Stator vorse- 
hen, wobei jeder Stator mit einem eigenen Rotor zusammen- 
wirkt und beide Rotoren auf einer gemeinsamen Welle mon- 
tiert sind. Dadurch hat man den Vorteil, daB sich im fehler- 
freien Betrieb keine negativen gegenseitigen Storungen er- 
geben, da nur eine Lenkmotoranordnung mechanisch auf 
das gelenkte Rad oder die gelenkten Rader wirkt. Im Fehler- 
fall kann aber dann sozusagen eine Halfte der Lenkmotoran- 
ordnung immer noch die notwendige Kraft aufbringen, um 
das Fahrzeug bis zum vollstandigen Stillstand lenken zu 
konnen. 

[0011] Hierbei ist besonders bevorzugt, daB jeder Wech- 
selrichter bei Ausfall mindestens eines anderen Wechsel- 
richters mit der Versorgung des Motors iiberlastet ist. Man 
kann also die Wechselrichter so dimensionieren, daB sie nur 
zusammen in der Lage sind, die notwendige elektrische Lei- 
stung fiir die Ansteuerung der Lenkmotoranordnung bereit 
zu stellen. Im Fehlerfall ist dann zwar der eine Wechselrich- 

♦ * 

ter iiberlastet. Da diese Uberlastung aber nur so lange an- 
dauert, bis das Fahrzeug angehalten hat, kann man diese 
Uberlastung in Kauf nehmen. 

[0012] Vorzugsweise weist jeder Steuerkreis einen Lenk- 
handradsensor auf. Man beginnt mit der Fehlerredundanzer- 
hohung also bereits in einem relativ fruhen Stadium und 
stellt damit sicher, daB alle Bewegungen des Lenkhandrads 
oder einer vergleichbaren Einrichtung mehrfach erfaBt wer- 
den konnen. 

[0013] Hierbei ist bevorzugt, daB die Sensoren in einer ge- 
meinsamen Sensoreinheit angeordnet sind. Dies hat den 
Vorteil, daB die Zuordnung der Ausgangssignale der Senso- 
ren zueinander leichter herzustellen ist. Eine derartige Sen- 
soranordnung ist beispielsweise in DE 31 45 162 Al offen- 
bart. 

[0014] Vorzugsweise weist jeder Steuerkreis einen Mittel- 
punktsensor fiir die Lenkmotoranordnung auf. Bei fehlerfrei 
arbcitenden Mchrphascnsystcmcn arbcitcn alle Phascn sym- 
metrisch. Der Mittelpunkt einer Sternschaltung, den man 
auch als "Sternpunkt" bezeichnen kann, befindet sich also 
immer auf einem vorgegebenen Potential, beispielsweise 
dem Nullpotential. Elektrische Fehler in den Wicklungen, 
ein KurzschluB Phase-Phase oder Phase-Masse oder andere 
Fehler werden zu einer Asymmetrie fiihren, die durch eine 
Messung im Mittelpunkt oder Sternpunkt des Motors ent- 
deckt werden kann. Auch ein Fehler in einem Wechselrich- 
ter wird im Motor eine Asymmetrie bewirken und daher im 
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Mittelpunkt erfaBbar sein. 

[0015] Vorzugsweise weist die Computeranordnung min- 
destens zwei Computer auf, von denen einer als Hauptcom- 
puter und ein anderer als Nebencomputer ausgebildet ist. 
Dies hat den Vorteil, daB man den Nebencomputer kosten- 5 
giinstiger ausgestalten kann. Der Hauptcomputer ubernirnmt 
sozusagcn die "Fiihrungsrollc". Untcr "Computer" soil hicr- 
bei die Gesamtheit einer Anordnung verstanden werden, die 
eingehende Signale verarbeiten und daraus Ausgangssi- 
gnale fiir die Lenkung und gegebenenfalls den Antrieb des 10 
Fahrzeugs bilden kann, also insbesondere einen Prozessor 
mit Ein- und Ausgabeschnittstellen sowie eine Speicherein- 
richtung fiir ein auszufuhrendes Programm aufweist. Es ist 
natiirlich nicht erforderlich, das ein derartiger Computer 
auch mit einer Tastatur und einem Monitor sowie mit aus- 15 
wechselbaren Datentragern versehen ist. 
[0016] Vorzugsweise ist der Nebencomputer als Computer 
mit begrenzter Steuerungsmoglichkeit ausgebildet, der nur 
zur Aufrechterhaltung der Lenkfahigkeit dient. Der Haupt- 
computer kann also wahrend des normalen Betriebes die 20 
Lenkfunktionen steuern, wahrend der Nebencomputer auf- 
grund seiner verminderten Fahigkeiten auch wesentlich ko- 
stengiinstiger ausgefiihrt werden kann. 
[0017] Vorzugsweise iiberwachen beide Computer sich 
gegenseitig. Dies erhoht die Sicherheit, auftretende Fehler 25 
in den Computern zu erf as sen. 

[0018] Auch ist bevorzugt, daB bei Auftreten ernes Feh- 
lers der nicht fehlerbehaftete Computer den fehlerbehafteten 
Computer abschaltet. Ein fehlerbehafteter Computer wird 
also an der weiteren Beeinflussung des Sy stems gehindert. 30 
[0019] Vorzugsweise steuert ein Computer im fehlerfreien 
Fall alle Wechselrichter an und im Fehlerfall gibt der fehler- 
behaftete Computer seine Steuerung an einen anderen Com- 
puter ab. Dies hat den Vorteil, daB man keine Synchronisie- 
rungsprobleme beim An steuern der Wechselrichter be- 35 
kommt. Da alle Wechselrichter gleichartig angesteuert wer- 
den, wird auch die Lenkmotoranordnung ohne Storungen 
betrieben werden konnen. Auch im Fehlerfall andert sich die 
Situation nicht, weil die Ansteuerung der Wechselrichter 
komplett von einem Computer an den anderen Computer 40 
ijbergeht. 

[0020] Vorzugsweise sendet die Computeranordnung ein 
Modulationssignal und ein Aktivierungssignal an jeden 
Wechselrichter, wobei das Aktivierungssignal fiir jeden 
Wechselrichter einzeln veranderbar ist. Dies erleichtert das 45 
Abschalten eines Wechselrichters bei Auftreten eines Feh- 
lers in diesem Wechselrichter oder dem daran angeschlosse- 
nen Motor. Man muB also nicht in die Modulationssignale 
eingreifen, sondern es reicht aus, daB Aktivierungssignal fiir 
den jeweiligen Wechselrichter zu verandern, um diesen 50 
Wechselrichter beispielsweise abzuschalten. 
[0021] Die Erfindung wird im folgenden anhand eines be- 
vorzugten Ausfiihrungsbeispiels in Verbindung mit der 
Zeichnung naher beschrieben. Hierin zeigen: 
[0022] Fig. 1 eine schematische Darstellung eines Lenk- 55 
systems, 

[0023] Fig, 2 eine schematische Darstellung einer Com- 
puteranordnung, 

[0024] Fig, 3 ein Vcrglcich zweier Computer der Compu- 
teranordnung und 60 
[0025] Fig, 4 eine Detailansicht zur Signalbehandlung im 
Fall eines Fehlers bei einem Computer. 
[0026] Fig, 1 zeigt ein Lenksystem 1, das als fehlertole- 
rantes Systems bezeichnet wird. Das System ist nicht voll 
redundant in dem Sinne, daB Lenken und Fahren bei jedem 65 
Einzelfehler problemlos fortgesetzt werden konnen. Die fol- 
gende Beschreibung konzentriert sich insbesondere darauf, 
wie die Funktionalilat im Falle von Fehlera gesichert wer- 
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den kann, d. h. wie die Lenkfahigkeit im Falle eines Fehlers 
bis zum Stillstand des Fahrzeugs gesichert werden kann. Die 
Art und Weise, wie die Fehler im einzelnen erfaBt werden 
konnen, ist von untergeordneter Bedeutung. 
[0027] Das in Fig, 1 dargestellte fehlertolerante Lenksy- 
stem 1 weist zwei Spannungsversorgungen auf in Form von 
zwei Battcricn 2a, 2b. Da, wic aus der folgenden Erlautc- 
rung ersichtlich ist, die meisten Elemente doppelt vorkom- 
men, werden diese Elemente mit a bzw. b fiir einen ersten 
bzw. fiir einen zwei ten Steuerkreis unterschieden. 
[0028] Die Batterie 2a gibt eine Spannung V x ab und die 
Batterie 2b eine Spannung V 2 . Wenn im folgenden bei Ele- 
menten die Bezugszeichen Vi, V 2 mit einem Pfeil auf das 
entsprechende Element dargestellt sind, bedeutet dies, daB 
das entsprechende Element mit der Spannung von der Batte- 
rie 2a bzw. 2b versorgt wird. 

[0029] Jede Batterie weist eine Uberwachungseinrichtung 
3a, 3b auf, vorzugsweise eine Spannungsmessungseinrich- 
tung, die im Falle eines Fehlers eine Meldung an eine Com- 
puteranordnung 4 abgibt. Die Uberwachung 3a, 3b ist so 
aufgebaut, daB ein Fehler in der Batterie 2a, 2b eine Signal- 
anderung an die Computeranordnung 4 auf ein Niveau be- 
wirkt, das das Niveau des Versagens der Batterieversorgung 
hat. Wenn beispielsweise die Spannung der Batterie 2a, 2b 
abfallt, dann erzeugt die Uberwachungseinrichtung 3a, 3b 
ein Signal Warn^ bzw. Warn 2 mit einem Pegel logisch Null. 
Dieser "Signalpegel" kann auch bei Ausfall der Batterie- 
spannung erzeugt werden. Bei Auftreten eines derartigen 
Fehlers kann die Computeranordnung 4 das Fahrzeug anhal- 
ten, wobei die Lenkfahigkeit gesichert bleibt, weil die je- 
weils andere Batterie noch tatig ist. Ein Fehler in der ent- 
sprechenden Uberwachungseinrichtung wird eine entspre- 
chende Signalanderung, an der Computeranordnung 4 be- 
wirken. Auf diese Weise ist das ganze Lenksystem auch ge- 
geniiber einem Fehler in einer der beiden Uberwachung sein- 
richtungen tolerant. 

[0030] Betatigt wird das Lenksystem 1 von einem Benut- 
zer 5, der ein Lenkhandrad 6 oder eine andere Steuereinrich- 
tung betatigt, beispielsweise einen Steuerknuppel oder joy- 
stick. Das Lenkhandrad 6 ist mit zwei selbstandigen Senso- 
ren 7a, 7b verbunden, die jeweils von der Batterie 2a, 2b 
versorgt werden, was durch die Pfeile Vi, V 2 zu erkennen 
ist. Die Ausgange Steeri, Steer 2 der beiden Sensoren 7a, 7b 
sind mit der Computeranordnung 4 verbunden. Da jeder der 
beiden Sensoren 7a, 7b eine eigene Stromversorgung hat, ist 
die Funktionsfahigkeit sichergestellt unabhangig davon, 
welcher Einzelfehler auftritt. Ein Bruch der Lenkhandrad- 
saule wird allerdings als unwahrscheinlich betrachtet. Eine 
Sicherung dagegen ist nicht aufgebaut. Die beiden Sensoren 
7a, 7b konnen zusammengefaBt sein in einer fehlersicheren 
Sensoreinheit, wie sie beispielsweise in DE31 45 162 Al 
dargestellt ist. Wichtig ist, daB die Abtastung der Winkel- 
stellung des Lenkhandrades 6 auch bei Fehler in einem Sen- 
sor 7a, 7b oder in einer Batterie 2a, 2b erfolgen kann. 
[0031] Das Lenksystem 1 weist einen Lenkmotor 8 
(rechts) auf, der iiber ein nicht naher dargestelltes Getriebe 
mit einem gelenkten Rad 9 oder gelenkten Radern verbun- 
den ist. Der Lenkmotor 8 treibt das Rad 9 in Abhangigkeit 
von der Winkclstcllung des Lenkhandrades 6 an. Der Lenk- 
motor 8 ist redundant aufgebaut. Dieser Aufbau kann meh- 
rere Foraien haben. Eine Moglichkeit ist, daB mehrere unab- 
hangige Wicklungen in einem Stator angeordnet sind, die 
auf einen gemeinsamen Rotor wirken. Man kann aber auch 
fiir jeden Satz Wicklungen einen eigenen Stator vorsehen, 
der mit einem eigenen Rotor zusammenwirkt, wobei alle 
Rotoren auf einer gemeinsamen Welle angeordnet sind. 
[0032] Jede Wicklungen bzw. jeder Satz Wicklungen ist 
mil einem Wechselrichter 10a, 10b verbunden, die jeweils 
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ihre Spannung V b V 2 von der zugehorigen Batterie 2a, 2b 
erhalten. Die Wechselrichter 10a, 10b werden von der Com- 
puteranordnung 4 angesteuert. Hierbei gibt die Computeran- 
ordnung 4 fur jeden Wechselrichter 10a, 10b ein Modulati- 
onssignal Modi, Mod 2 aus, wobei diese Signale identisch 5 
sind und zusatzlich gibt die Computeranordnung 4 fur jeden 
Wechselrichter 10a, 10b ein Signal Act 1? Act 2 aus. Dieses 
Signal ist ein Aktivierungssignal, aufgrund dessen der 
Wechselrichter 10a, 10b aktiv ist oder stillgesetzt wird. 
[0033] Die beiden Wechselrichter 10a, 10b sind so dimen- 10 
sioniert, daB sie zusammen die notwendige elektrische Lei- 
stung bereitstellen konnen, um den Lenkmotor 8 anzutrei- 
ben. Wenn ein Steuerkreis ausfallt und damit einer der bei- 
den Wechselrichter 10a, 10b ausfallt, dann ist der andere 
Wechselrichter 10b, 10a iiberlastet, wenn er ein ausreichen- 15 
des Moment iiber den Lenkmotor 8 am gelenkten Rad 9 si- 
cherstellen soil. Da es aber nur darum geht, die Lenkfahig- 
keit solange sicherzustellen, bis das Fahrzeug angehalten 
hat, ist diese Uberlastung akzeptabel. Das Anhaltemanover 
wird in der Regel nur einen begrenzten Zeitraum in An- 20 
spruch nehmen. 

[0034] Die Winkelstellung des Rades 9 wird iiber zwei 
Radsensoren 11a, lib erfaBt. Die beiden Radsensoren 11a, 
lib konnen ebenfalls in einer fehlersicheren Sensoreinheit 
zusammengefaBt sein, also in einem Gehause. Die entspre- 25 
chende Winkelstellung sinformation wird iiber ein Signal 
Wheeli, Wheeb an die Computeranordnung 4 ubergeben. 
[0035] Elektrische Fehler in den Wicklungen des Lenk- 
motors 8, beispielsweise ein KurzschluB Phase-Phase oder 
Phase-Masse oder eine Leitungsunterbrechung, fiihren zu 30 
einer Asymmetric im Drehfeld des Motors 8. Eine derartige 
Asymmetrie kann durch eine Messung im Mittelpunkt oder 
Sternpunkt des Lenkmotors 8 bzw. der einzelnen Wicklun- 
gen erkannt werden. Auch ein Fehler in einem Wechselrich- 
ter 10a, 10b wird eine entsprechende Asymmetrie bewirken 35 
und kann daher im Mittelpunkt erkannt werden. Aus diesem 
Grunde sind Mittelpunktsensoren 12a, 12b vorgesehen, die 
ihr Ausgangs signal Stari, Star 2 ebenfalls an die Computer- 
anordnung 4 melden. Bei einer Wechselrichtersteuerung ei- 
nes Elektromotors wird die dritte Harmonische der Versor- 40 
gungsfrequenz immer im Mittelpunkt auftreten, jedoch mit 
einer relativ begrenzten Amplitude. Bei groBeren Last- oder 
Geschwindigkeitsanderungen wird diese Amplitude fur 
kurze Zeit stark erhoht. Um zu vermeiden, daB hier nicht 
versehentlich ein Fehler erkannt wird, wird hier entweder 45 
eine relativ hohe Fehlerschwelle fur die Mittelpunktsmes- 
sung oder eine Totzeit im System vorgesehen, so daB be- 
triebsbedingte Mittelpunktsspannungsanderungen nicht zu 
einem Abschalten des Systems fiihren. Alternativ dazu kann 
man aufgrund der Mittelpunktsmessung eine Frequenzana- 50 
lyse ausfiihren, wobei man nach der Grundfrequenz sucht. 
Die Grundfrequenz wird namlich nur in Fehlersituationen 
auftreten. Allerdings benotigt eine derartige Frequenzana- 
lyse eine erhebliche Rechenleistung die derzeit wirtschaft- 
lich noch nicht zur Verfiigung steht. Versuche haben gezeigt, 55 
daB eine reine Spannungsmessung im Mittelpunkt fur die 
Fehlererfassung ausreicht. 

[0036] SchlieBlich konnen die Wechselrichter 10a, 10b 
noch mit Stromscnsorcn 13a, 13b verschen sein, die zur Lci- 
stungsmessung dienen und die ein Ausgangs signal Powi, 60 
Pow 2 ebenfalls an die Computeranordnung 4 zuriickrnelden. 
Die drei Sensoren 11a, 12a, 13a bzw. lib, 12b, 13b sind je- 
weils iiber die zugehorige Batterie 2a, 2b mit Spannungen 
Vi, V 2 versorgt. 

[0037] Es ist also ersichtlich, daB das Lenksystem 2 ge- 65 
trennt voneinander elektrisch versorgte und getrennt vonein- 
ander gefiihrte Steuerkreise aufweist, die lediglich den red- 
undanten Lenkmotor 8 mil gelenktem Rad 9, das Lenkhand- 
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rad 6 und die Computeranordnung 4 gemeinsam haben. An- 
sonsten weist jeder Steuerkreis den Lenkmotor 8, die Senso- 
ren lla-13a; lib— 13b, die Sensoren 7b, 7a und die gemein- 
same Computeranordnung 4 auf. Auch das Lenkhandrad 6 
ist fiir beide Steuerkreise 6 gemeinsam. 
[0038] Wenn also eines der Elemente 10a-13a bzw. 10b, 
13b oder 7a, 7b, die in jedem Steuerkreis cinzcln vorhanden 
sind und damit im Lenksystem 1 doppelt vorhanden sind, 
ausfallt, ist dies unkritisch, weil der entsprechend andere 
Steuerkeis seine Funktionalitat behalt. Der Motor ist auf- 
grund seines oben geschilderten Aufbaus redundant, so daB 
ein Teilfehler auch hier unkritisch ist. Die Computeranord- 
nung 4 hat einen speziellen Aufbau, der im Zusammenhang 
mit den Fig. 2 bis 4 naher erlautert wird. Auch hier ergibt 
sich dann also die gewiinschte Fehlertoleranz. 
[0039] Fig. 2 zeigt eine schematische Darstellung der 
Computeranordnung 4. Die Computeranordnung 4 weist ei- 
nen Hauptcomputer 14 auf, von dem einige Komponenten 
dargestellt sind. Im einzelnen handelt es sich um eine Feh- 
lererfassung 15a, um eine Hardwareuberwachungsschaltung 
16a, einen sogenannten Hardware watch dog oder HW 
watch dog, einen Software watch dog oder eine Software 
Uberwachungsschaltung 17a und einen Abschalter 18a. 
SchlieBlich weist der Hauptcomputer 14 noch eine Gegen- 
abschalteinrichtung 19a fur den anderen Computer, den Ne- 
bencomputer 20 auf. Der Nebencomputer 20 weist entspre- 
chende Einheiten auf, die jeweils mit dem Buchstaben b ge- 
kennzeichnet sind. Samtliche Einheiten oder Elemente 
15a-19a bzw. 15b-19b konnen in der Regel auch software- 
oder programmaBig realisiert werden, gegebenenfalls mit 
Ausnahme der Hardwareiiberwachung. 
[0040] Die Hardwareiiberwachungseinrichtung 16a und 
die Softwareuberwachungseinrichtung 17a sind iiber ein 
ODER-Glied 21a mit der Fehlererfassungseinrichtung 15b 
des Nebencomputers 20 verbunden. Umgekehrt sind die 
Hardwareuberwachungseinrichtung 16b und die Software- 
uberwachungseinrichtung 17b iiber ein ODER-Glied 21b 
mit der Fehlererfassung 15a des Hauptcomputers 14 verbun- 
den. Die Gegenabschalteinrichtung 19a und die Fehlererfas- 
sungseinrichtung 15a sind iiber ein UND-Glied 22a mit dem 
Abschalter 18b des Nebencomputers verbunden. Umgekehrt 
ist die Fehlererfassungseinrichtung 15b und die Gegenab- 
schalteinrichtung 19b iiber ein UND-Glied 22b mit dem Ab- 
schalter 18a des Hauptcomputers verbunden. 
[0041] Der Hauptcomputer 14 und der Nebencomputer 
20, die jeweils mit unabhangigen Spannungen V 1? V 2 von 
den Batterien 2a, 2b versorgt werden, uberwachen sich mit 
Hilfe der Hardware- und Softwareuberwachungseinrichtun- 
gen 16a, 16b, 17a, 17b zunachst selbst. Als zusatzliche Si- 
cherheit ist aber vorgesehen, daB der jeweils eine Computer 
den anderen Computer iiberwacht und, falls ein Fehler auf- 
tritt, den fehlerbehafteten Computer ausschaltet. Wenn bei- 
spielsweise der Hauptcomputer 14 mit Hilfe der Fehlerer- 
fassung 15a entdeckt, daB entweder ein Hardwarefehler oder 
ein Softwarefehler im Nebencomputer 20 aufgetreten ist, 
dann bekommt gleichzeitig das UND-Glied 22a die entspre- 
chende Information. Der Hauptcomputer entscheidet dann, 
ob er iiber die Gegenabschalteinrichtung 19a ein entspre- 
chendes Abschaltsignal fiir den Nebencomputer 20 crzeugt. 
Wenn dies der Fall ist, dann gibt das UND-Glied 22a an sei- 
nem Ausgang den entsprechenden Befehl an den Schalter 
18b. Bei einem Fehler im Hauptcomputer 14 ist die Situa- 
tion entsprechend umgekehrt. 

[0042] Der Hauptcomputer 14 gibt ein Signal Mod t fiir 
den ersten Wechselrichter 10a und ein Signal Mod 2 fiir den 
zweiten Wechselrichter 10b aus. In gleicher Weise erzeugt 
der Nebencomputer 20 die beiden Signale Modi, Mod 2 . 
[0043] Im ungestorten Fall werden nur die Modulationssi- 
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gnale Mod!, Mod 2 vom Hauptcomputer 14 an die beiden 
Wechselrichter 10a, 10b iibertragen. Hierzu ist der Abschal- 
ter 18a iiber jeweils ein NTCHT-Glied 23a, 23b mit einem 
Schalter 24a, 24b verbunden und ohne das NICHT-Glied mit 
einem Schalter 25a, 25b. Darnit ist sichergestellt, daB dann, 5 
wenn der Hauptcomputer 14 ordnungsgemaB tatig ist, die 
Modulationssignalc Modi, Mod 2 iibcr die dann gcschlossc- 
nen Schalter 24a, 24b an die Wechselrichter 10a, 10b weiter- 
geleitet werden, wahrend im Fehlerfall, wenn die Abschalt- 
einrichtung 18a ein entsprechendes Eingangssignal erhalt, 10 
die Schalter 24a, 24b geoffnet und die anderen Schalter 25a, 
25b geschlossen werden, so daB die Wechselrichter 10a, 10b 
dann vom Nebencomputer 20 gesteuert werden. 
[0044] Fig, 3 zeigt, daB beide Computer, namlich der 
Hauptcomputer 14 und der Nebencomputer 20, zwar ahnlich 15 
sind, aber nicht identisch. Der Nebencomputer 20 ist ein si- 
gnalmaBig reduzierter Computer, der nur die zur Aufrech- 
terhaltung der Lenkfahigkeit erforderlichen Signale handha- 
ben kann. Dementsprechend erhalt der Nebencomputer 20 
nur die Signale Steer 2 des zweiten Lenkhandradsensors 7b 20 
und Wheei2 des zweiten Radsensors lib. Der im Computer 
erzeugt die Modulationssignale Modi, Mod 2 fur die beiden 
Wechselrichter 10a, 10b. Der Hauptcomputer 14 hingegen 
erhalt die Ausgangs signale Steer 1? Steer 2 , Warn!, Warn 2 , 
Stari, Star 2 , Powi, Pow 2 , Wheeli, Wheel 2 aller Sensoren 7a, 25 
7b, lla-13a, llb-13b. Der Hauptcomputer 14 erzeugt die 
Modulationssignale Modi, Mod 2 und zusatzlich Aktivie- 
rungssignale Acti, Act 2 mit denen man die einzelnen Wech- 
selrichter 10a, 10b abschalten kann, falls dort ein Fehler zu 
beobachten ist. 30 
[0045] Wenn nun der Hauptcomputer 14 abgeschaltet 
wird, wiirde normalerweise das Aktivierungssignal Acti, 
Act 2 entf alien. Fig. 4 zeigt eine Losung, wie man dieses Pro- 
blem umgehen kann. Die beiden Signale Acti, Act 2 sind je- 
weils iiber ODER-Glieder 26a, 26b an entsprechende Aus- 35 
gange Acti, Act 2 gefiihrt. Der andere Eingang dieser 
ODER-Glieder 26a, 26b ist iiber Schalter 27a, 27b mit der 
Versorgungsspannung V 2 der zweiten Batterie 2b verbun- 
den. Wenn nun ein entsprechendes Signal an der Abschalt- 
einrichtung 18a des Hauptcomputers 14 anliegt, dann wer- 40 
den die beiden Schalter 27a, 27b geschlossen, so daB dann 
ein entsprechendes Signal (logisch 1) am zweiten Eingang 
der ODER-Glieder 26a, 26b anliegt und ein entsprechendes 
logisches 1 an den Ausgangen Acti, Act 2 der ODER-Glieder 
26a, 26b. 45 
[0046] Das Lenksystem 1 ist also praktisch alien erdenkli- 
chen Fehlern gegeniiber fehlertolerant. Allerdings sind nicht 
alle Elemente doppelt ausgestaltet. Die Elemente sind viel- 
mehr auf ein Minimum hin optimiert. 

50 

Patentanspruche 

1 . Elektrisches Lenksystem fur ein Fahrzeug mit einer 
elektrisch gespeisten Lenkmotoranordnung, die mit ei- 
ner Wechselrichteranordnung verbunden ist, deren 55 
Ausgangsspannung von einer Computeranordnung be- 
einfluBt ist und mit einer Sensoranordnung, dadurch 
gekennzeichnet, daB die Lenkmotoranordnung einen 
rcdundantcn Lcnkmotor (8) aufweist, der iibcr zwei gc- 
trennt voneinander elektrisch versorgte und gefuhrte 60 
Steuerkreise mit der Computeranordnung (4) verbun- 
den ist, die ebenfalls redundant ausgebildet ist. 

2. Lenksystem nach Anspruch 1, dadurch gekenn- 
zeichnet, daB alle Steuerkreise eine gemeinsame Soll- 
wertvorgabeeinrichtung (6) aufweisen. 65 

3. Lenksystem nach Anspruch 1 oder 2, dadurch ge- 
kennzeichnet, daB fiir jeden Steuerkreis eine eigene 
Strom versorgungseinrichtung (2a, 2b) mit einem eige- 
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nen Uberwachungs system (3a, 3b) vorgesehen ist. 

4. Lenksystem nach einem der Anspriiche 1 bis 3, da- 
durch gekennzeichnet, daB jeder Steuerkreis einen 
Wechselrichter (10a, 10b) aufweist, der mit dem Lenk- 
motor (8) verbunden ist. 

5. Lenksystem nach einem der Anspriiche 1 bis 4, da- 
durch gekennzeichnet, daB der Lcnkmotor (8) fiir jeden 
Steuerkreis eine eigene Wicklungsanordnung aufweist. 

6. Lenksystem nach Anspruch 5, dadurch gekenn- 
zeichnet, daB jeder Wechselrichter (10a, 10b) bei Aus- 
fall mindestens eines anderen Wechselrichters (10b, 
10a) mit der Versorgung des Motors (8) iiberlastet ist. 

7. Lenksystem nach einem der Anspriiche 1 bis 6, da- 
durch gekennzeichnet, daB jeder Steuerkreis einen 
Lenkhandradsensor (7a, 7b) aufweist. 

8. Lenksystem nach Anspruch 7, dadurch gekenn- 
zeichnet, daB die Sensoren (7a, 7b) in einer gemeinsa- 
men Sensoreinheit angeordnet sind. 

9. Lenksystem nach einem der Anspriiche 1 bis 8, da- 
durch gekennzeichnet, daB jeder Steuerkreis einen Mit- 
telpunktsensor (12a, 12b) fiir die Lenkmotoranordnung 
aufweist. 

10. Lenksystem nach einem der Anspriiche 1 bis 9, da- 
durch gekennzeichnet, daB die Computeranordnung (4) 
mindestens zwei Computer (14, 20) aufweist, von de- 
nen einer als Hauptcomputer (14) und ein anderer als 
Nebencomputer (20) ausgebildet ist. 

11. Lenksystem nach Anspruch 10, dadurch gekenn- 
zeichnet, daB der Nebencomputer (20) als Computer 
mit begrenzter Steuerungsmoglichkeit ausgebildet ist, 
der nur zur Aufrechterhaltung der Lenkfahigkeit dient. 

12. Lenksystem nach Anspruch 10 oder 11, dadurch 
gekennzeichnet, daB beide Computer (14, 20) sich ge- 
genseitig iiberwachen. 

13. Lenksystem nach Anspruch 12, dadurch gekenn- 
zeichnet, daB bei Auftreten eines Fehlers der nicht feh- 
lerbehaftete Computer (14, 20) den fehlerbehafteten 
Computer (20, 14) abschaltet. 

14. Lenksystem nach einem der Anspriiche 10 bis 13, 
dadurch gekennzeichnet, daB ein Computer (14, 20) im 
fehlerfreien Fall alle Wechselrichter (10a, 10b) ansteu- 
ert und im Fehlerfall gibt der fehlerbehaftete Computer 
(14, 20) seine Steuerung an einen anderen Computer 
(20, 14) abgibt. 

15. Lenksystem nach einem der Anspriiche 10 bis 14, 
dadurch gekennzeichnet, daB die Computeranordnung 
(4) ein Modulationssignal (Modi, Mod2) und ein Akti- 
vierungssignal (Acti, Act 2 ) an jeden Wechselrichter 
(10a, 10b) sendet, wobei das Aktivierungssignal (Acti, 
Act 2 ) fiir jeden Wechselrichter einzeln veranderbar ist. 
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